4 consejos para proteger el desarrollo asistido por GenAI

Gartner predice que la IA generativa (GenAI) se convertirá en un socio fundamental para el 90 % de las empresas el próximo año. En el desarrollo de aplicaciones, en particular, vemos que los desarrolladores recurren a asistentes de código como Github Copilot y Google Gemini Code Assist para crear software a una velocidad sin precedentes.

Pero, aunque GenAI puede impulsar nuevos niveles de productividad y velocidad, también presenta nuevas amenazas y desafíos para los equipos de seguridad de aplicaciones. Los datos de entrenamiento que usan los modelos de lenguaje grandes (LLM) combinan código de buena y mala calidad, por lo que tienen tantas probabilidades de introducir vulnerabilidades e imperfecciones como los desarrolladores júnior. Sin embargo, a diferencia de un desarrollador júnior, estas tecnologías generan código en cuestión de segundos.

GenAI tampoco tiene en cuenta las políticas organizacionales ni las prácticas recomendadas, por lo que no puede cumplir con las normas de conformidad ni con las pautas de seguridad específicas de cada organización. Además, los miembros del equipo podrían exponer datos confidenciales sin querer al ingresarlos en los LLM.

Como podemos ver, estas nuevas tecnologías plantean numerosos desafíos de seguridad que los equipos deben considerar. Los equipos AppSec de hoy necesitan implementar estrategias para adaptarse al alcance y la velocidad de GenAI y apoyar a los equipos de desarrollo actuales sin ralentizarlos.

Seguridad a la velocidad de GenAI

¿Cuáles son las mejores maneras de escalar tu programa AppSec y adaptarlo a todos los aspectos de los ciclos de desarrollo impulsados por GenAI?

Snyk colaboró con el equipo de expertos AppSec de Deloitte para crear una nueva guía que ayude a las organizaciones a comprender los efectos del creciente uso de GenAI. Con un enfoque en escalar la seguridad de las aplicaciones y, al mismo tiempo, garantizar el crecimiento continuo y el uso seguro de GenAI, descubre las principales conclusiones de Deloitte y Snyk:

Elimina los obstáculos con tecnología que prioriza a los desarrolladores

Las herramientas de programación asistida por GenAI atraen a los desarrolladores porque son muy fáciles de usar. Escriben una instrucción, reciben una respuesta casi instantánea y luego agregan el código generado al repositorio. Si la seguridad obstaculiza este proceso de alguna manera, es más probable que el desarrollador omita por completo esos controles. Entre los obstáculos tecnológicos más comunes están las herramientas de seguridad que obligan a los desarrolladores a retroceder porque detectan vulnerabilidades demasiado tarde en el proceso, o las interfaces centradas en los equipos de seguridad que obligan a los equipos de desarrollo a cambiar de plataforma para resolver los problemas. En cambio, incorporar herramientas de seguridad que priorizan a los desarrolladores, se integra perfectamente en sus flujos de trabajo y funciona en sincronía con las herramientas de programación con IA fomentará un desarrollo de software asistido por GenAI más seguro.

Usa la capacitación para explicar el motivo de las barreras de seguridad

Según informes, el 80 % de los desarrolladores omite las medidas de seguridad relacionadas con el código generado por IA, ya que tiende a confiar más en GenAI que en los programadores humanos. Por eso, es fundamental capacitar a estos desarrolladores sobre la importancia de usar herramientas de seguridad en tiempo real junto con sus asistentes de programación con IA. Los equipos de seguridad también deberían considerar capacitarlos sobre cómo usar (y NO usar) los LLM, por ejemplo, qué tipos de datos pueden copiar y pegar los desarrolladores en una instrucción.

Crea procesos que funcionen junto con GenAI

Es probable que tu equipo ya haya visto cómo GenAI aumenta drásticamente el volumen de código que llega a los repositorios. Por eso, es más importante que nunca establecer procesos sencillos para encontrar y corregir problemas de seguridad a un ritmo que permita manejar este mayor volumen de código. Considera mejorar y fortalecer tus procesos de comunicación entre los equipos de desarrollo y seguridad, revisión de análisis de código y priorización de vulnerabilidades.

Actualiza las políticas para adaptarlas a las herramientas de GenAI

También es importante definir políticas claras para GenAI. Las políticas adecuadas elevarán el nivel de uso de la IA en los flujos de trabajo diarios de los equipos y exigirán controles de seguridad rigurosos. Algunos ejemplos de políticas de IA incluyen pautas sobre casos de uso aceptables, selección y uso de datos, privacidad y seguridad de los datos, y cumplimiento de requisitos normativos. También es recomendable establecer una frecuencia para actualizar estas políticas a medida que se incorporen nuevas herramientas a tu organización y evolucionen las prácticas de desarrollo.

Escala tu programa AppSec para afrontar los desafíos de la IA

Cuando tu equipo establece una base sólida de políticas y barreras de seguridad para la IA, prepara a tu organización para triunfar ante futuras iteraciones y evoluciones de estas tecnologías. Al combinar los servicios de automatización y orquestación Secure by Design de Deloitte con una plataforma de seguridad de aplicaciones que te permite encontrar y corregir automáticamente problemas como vulnerabilidades críticas y vulnerabilidades de día cero en las primeras etapas del ciclo de desarrollo, las organizaciones pueden:

• Ampliar de forma segura la seguridad de las aplicaciones en todo el ciclo de vida de desarrollo de software y automatizar flujos de trabajo desde una sola plataforma

• Integrar herramientas y procesos automatizados para mejorar la adopción por parte de los desarrolladores

• Aprovechar herramientas de seguridad con IA y automatización para que los desarrolladores y los equipos de seguridad colaboren y resuelvan problemas fácilmente en las primeras etapas (a medida que surjan), en una fracción del tiempo habitual, y reduzcan el riesgo

• Acceder a ayuda para corregir vulnerabilidades y reducir los pendientes acumulados

• Agilizar la incorporación y la adopción mediante una habilitación rápida y constante de una plataforma de seguridad de aplicaciones que proteja tu código propio —incluido el código creado por asistentes de programación con IA—, tus dependencias de código abierto, tus contenedores y tu infraestructura como código.

Para obtener más información sobre cómo escalar tu programa de seguridad de aplicaciones y afrontar los nuevos desafíos del desarrollo impulsado por GenAI, descarga nuestro documento técnico Application Security at Scale for GenAI.